CVE-2026-63407 in API Plugin
Zusammenfassung
von VulDB • 19.08.2026
Das Grav API Plugin ist eine RESTful API für das Grav CMS, die vollen Headless-Zugriff auf den Inhalt Ihrer Website bietet. Vor Version 1.0.0-rc.16 gibt der CorsMiddleware des Grav API Plugins Access-Control-Allow-Origin: * und permissive OPTIONS-Antworten für authentifizierte /api/v1-Endpunkte zurück. JavaScript von jeder beliebigen Herkunft kann ein vom Angreifer erlangtes JWT über den Authorization- oder X-API-Token-Header senden, die authentifizierte Antwort lesen und Schreibvorgänge mit den Berechtigungen des Tokeninhabers durchführen, was zur Datenexfiltration und Kontomodifikation führt. Dieses Problem wurde in Version 1.0.0-rc.16 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.